Ein Unternehmen verfügt über ein Amazon Elastic File System (Amazon EFS)-Dateisystem, das einen Referenzdatensatz enthält. EC2-basierte Anwendungen müssen den Datensatz lesen, dürfen ihn aber nicht ändern. Das Unternehmen möchte die IAM-Zugriffskontrolle verwenden, um zu verhindern, dass die Anwendungen den Datensatz ändern oder löschen. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Antwort ist, eine Ressourcenrichtlinie für das EFS-Dateisystem zu erstellen, die die Aktion elasticfilesystem:ClientWrite für die an die EC2-Instanzen angehängten IAM-Rollen verweigert. Eine Ressourcenrichtlinie (Dateisystemrichtlinie) ist der empfohlene Weg, um den Zugriff auf EFS-Dateisysteme zu steuern, da sie detaillierte Berechtigungen auf Dateisystemebene ermöglicht. Das Verweigern von elasticfilesystem:ClientWrite verhindert, dass Clients Schreibvorgänge auf dem Dateisystem ausführen. Das EFS-Dateisystem im schreibgeschützten Modus von den EC2-Instanzen aus zu mounten, ist keine sichere Methode, da ein privilegierter Benutzer den Mount-Modus ändern könnte. Eine Identitätsrichtlinie für das EFS-Dateisystem zu erstellen, ist falsch, da Identitätsrichtlinien an IAM-Benutzer oder -Rollen angehängt werden, nicht direkt an das Dateisystem selbst. EFS Access Points sind zwar nützlich für die Verwaltung des Anwendungszugriffs, aber POSIX-Berechtigungen allein reichen nicht aus, um eine vollständige Zugriffsverweigerung auf Dateisystemebene zu gewährleisten, da sie umgangen werden könnten.